PHPの2件の重大な脆弱性について、Amazonは一般公開の4日前に攻撃の試みを確認し、公開後は実環境で悪用が広がっていると警告しました。PHPは多くのウェブサイトで使われており、脆弱性を突かれると、認証なしでサーバー上のコードを実行されるおそれがあります。PHPの開発チームは修正版を公開しており、影響を受ける環境では更新が必要です。
PHPのリクエスト処理に潜む2つの脆弱性
脆弱性はCVE-2026-109618とCVE-2026-109619で、PHPのセッション機能とリクエスト処理に関係します。攻撃者は細工したウェブリクエストをPHPワーカーへ送ることで、コード実行や、プロセスからアクセスできるデータの読み取り、サービス妨害を引き起こす可能性があります。
技術分析では、ファイルアップロードの進行状況を記録するsession.upload_progressの処理が、攻撃経路の一つとして挙げられています。この機能では、リクエスト中のセッションIDやファイル名が十分に検証されないままセッションファイルに保存される場合があります。アプリケーションにファイル読み込みの弱点があると、保存データを実行につなげられます。
別の経路では、PHPのシリアライズ処理がオブジェクトを復元・破棄する際の不整合が問題になります。メモリー領域の解放後にオブジェクトの破棄処理が走るケースや、リクエスト間で古い内部状態が残るケースが分析されており、条件がそろうと解放済み領域の参照からコード実行に至ります。
公開前の攻撃試行と広い利用範囲
Amazonは、脆弱性が公表される4日前に悪用の試みを特定したと説明し、現在は実環境で広く悪用されていると警告しました。米国家安全保障局（NSA）と英国の当局も、PHPを使う組織に直ちに更新するよう呼びかけています。
PHPはウェブサイトのサーバー側処理に使われるプログラミング言語です。W3Techsの2026年10月22日時点の調査では、サーバー側言語が判明しているウェブサイトの69.3％でPHPが使われています。同じ調査での割合は、JavaScriptが8.1％、Rubyが7.1％でした。
Wizは、PHPが世界のウェブサイトの約70％を支えていると推計しました。W3Techsの69.3％という数値は、サーバー側言語が判明しているサイトを分母にした割合です。WordPressは主にPHPで書かれ、動作にもPHPを必要とするため、PHPの脆弱性は幅広いウェブサイトに関わります。
修正版と影響を受けるバージョン
修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12です。影響を受けるのは、それぞれの系統で8.2.34以前、8.3.35以前、8.4.26以前、8.5.11以前です。
PHP 5.4から8.1まではサポートが終了しており、上流の修正版は提供されていません。AWSは、これらのバージョンを使う環境に、サポート対象の修正版ブランチへの移行を案内しています。
影響はPHPのバージョンだけでなく、実行環境や設定にも関係します。session.upload_progressが有効な環境ではセッションへのデータ注入が攻撃経路になり得ます。一方、分析された攻撃手法には、アプリケーションのファイル読み込み機能や、異なるセッション形式を使うディレクトリー間のアクセスなど、追加条件を伴うものもあります。
更新までの暫定対応
AWSは、完全な修正には該当するPHPの修正版への更新が必要だとしています。更新できない間は、設定変更やウェブアプリケーションファイアウォール（WAF）による制御を暫定策として案内しています。
session.upload_progressを無効にする設定は、一部の攻撃経路を減らす措置として挙げられています。ただし、この設定だけでは脆弱性に関わるすべての問題を修正できず、PHPの更新が必要です。
AWSのサービスでは、Elastic Beanstalk向けに修正版を含むPHPプラットフォームが提供されています。管理されたプラットフォーム更新が有効な環境には次のメンテナンス期間に更新が適用され、無効な環境では利用者自身によるプラットフォーム更新が必要です。Amazon Linux向けの更新パッケージも案内されており、サポート終了版では移行が求められています。
